近期加密货币行业安全事件频发。据不完全统计，2025 年 2 月份发生约 15 起黑客攻击事件，造成达 16.76 亿美元损失。这些事件不仅给受害者带来了巨大损失，也为整个行业敲响了警钟。
究竟黑客是如何突破安全防线的？本期月报将回顾近期发生的安全事件，并为大家提供针对性的防范建议，助你构建更牢固的安全意识防护网。
Bybit 交易所冷钱包被盗
2025 年 2 月 21 日，Bybit 交易所遭遇黑客攻击，其以太坊冷钱包中的约 15 亿美元资产被盗。攻击者通过篡改 Bybit 团队的 Safe 多签钱包前端界面，诱导签名人员在不知情的情况下签署恶意交易，从而将以太坊冷钱包的智能合约逻辑改为黑客控制的合约，实现对钱包的完全控制。目前，黑客已将盗取的 ETH 转换成其他代币，代币追踪和责任归属问题仍在调查中。
Bybit CEO 发布被盗情况说明
风险提示：技术漏洞利用与人为操作失误
安全提醒：
- 关注平台安全审计与透明度：选择交易所时，仔细查看其资产储备情况、安全审计报告以及过往安全事件应对措施。Bybit 在被盗后能够通过购买、贷款等途径在较短时间内弥补 ETH 亏空，恢复正常的存款和提现业务，得益于其较充足的资产储备和良好的偿付能力。
- 分散管理大额资产：切勿将资产集中存放，建议分散管理来降低风险，如中心化交易所、DeFi 协议、软硬件钱包等。
- 重视社会工程攻击风险：技术人员也可能因社会工程攻击被入侵，进而危及服务安全。对于用户而言，虽无法控制交易所的内部系统，但可以在应对来源不明的邮件、短信和链接时，保持高度警惕，防范钓鱼及社交工程攻击，降低自身及资产风险。
Infini 合约被攻击
2025 年 2 月 24 日，Infini 合约受到攻击，被盗资金超 4900 万美元。攻击者利用合约权限管理疏忽，获取了提取所有资金的权限。Infini 创始人回应称，将通过 OTC 渠道弥补部分资金缺口以满足提款需求，目前正通过法律手段追讨损失。
风险提示：合约漏洞及权限滥用
安全提醒：
- 仔细查看合约的权限设置：参与项目时，应仔细查看合约的权限设置，避免授予不必要的权限。对于不熟悉的合约或项目，要谨慎参与，防止因合约漏洞或恶意设计而导致资产损失。一般来说，合理的合约权限应该是仅能在特定条件下转移特定数量的特定资产等。
- 定期检查和取消授权：养成定期检查钱包授权记录的习惯，对于不再使用的合约及时取消授权，降低潜在风险。点此了解：代币授权查看与取消及常见代币授权骗局解析
imToken 自 2023 年 8 月起已支持签名解析 ，推出的「所见即所签」功能可有效防止盲签和钓鱼攻击，保护用户资产安全。了解更多：imToken 签名体验全新升级，让兑换更直观安全
Mask Network 创始人钱包被盗
2025 年 2 月 27 日，Mask Network 创始人 Suji Yan 发文称，其手机上携带的一个公共钱包被黑客入侵，400 多万美元的资产被盗。初步分析显示，可能是手机无人看管时私钥被窃取，或发生了离线攻击。攻击者获取了钱包的私钥，得以随意转移资产。
Suji Yan 就被盗时情景分析被盗原因
风险提示：私钥管理不当、设备安全性薄弱
安全提醒：
- 携带钱包的手机请务必妥善保管，不要离开视线范围，以免被他人破解密码后导出钱包助记词盗走资产。
- 选择 imKey 等硬件钱包保管大额资产。硬件钱包通过安全芯片离线生成和存储助记词，仅在首次激活时会展示助记词以便用户备份，后续不支持助记词的再次导出。
- 备份助记词时，采用物理介质（如手抄写备份或助记词密盒）保管助记词 / 私钥，隔绝网络，防止网络攻击。
- 一旦怀疑钱包安全受到威胁，立即将剩余资产转移至安全地址，并保留相关证据以便寻求法律帮助。
除了上述重大事件，近期还出现了其他安全事件：
短信钓鱼攻击
近期，慢雾团队发文披露出现针对币安用户的短信钓鱼攻击。部分用户在币安官方短信对话线程中，同时收到伪造的钓鱼短信，钓鱼信息与官方通知混杂在一起，极具迷惑性。
诈骗短信与交易所官方短信出现在同一对话线程
图片转自 https://x.com/im23pds/status/1894584041355317265
此外，之前也有用户反馈收到假冒钱包官方人员的诈骗短信，谎称「XX 钱包将关闭服务」，诱导用户访问钓鱼网站并输入助记词，企图盗取资产。
注意：imToken 不会通过短信或电话主动联系用户，所有主动联系你的均非官方行为。
风险提示：信息混淆、钓鱼攻击
安全提醒：
- 核实短信与信息来源：遇到短信通知时，应先通过官网、X 频道、客服邮箱等多个官方渠道进行核实，避免被虚假信息误导。
X 账户被盗，发布虚假代币
近期，名人、执政部门及项目方账户被攻击事件频发。例如，ai16z 创始人 Shaw 的 X 账户被入侵后发布了虚假代币链接；马来西亚前首相及沙特法律会议的 X 账户也曾被利用发布诈骗 Meme 币；此外，pump.fun 与 Jupiter 等账户也出现了类似安全漏洞，被黑客利用发布虚假代币，误导用户投资。
马来西亚前首相 X 账号被盗，以马来西亚官方名义发布虚假代币
风险提示：借助名人影响力的虚假信息
安全提醒：
- 对敏感信息保持警觉：遇到涉及代币发行、空投等信息时，务必多渠道核实其真实性，不盲目跟风。
- 加强社交媒体账号安全性：使用复杂密码、启用双重认证（2FA）等，并定期检查账号登录记录，及时发现异常活动。
从 Bybit 冷钱包被盗、Infini 合约被攻击到 Mask Network 创始人钱包被窃等多起事件来看，黑客正不断利用防护漏洞和人为疏忽来发起攻击。无论是权限设置，私钥管理、还是信息识别，都要求我们持续提升安全意识，切实补齐「常识防御」的短板，构建更坚固的安全屏障。
imToken 一直在行动
安全风控
一月份，imToken 共标记风险代币 5680 个；封禁风险 DApp 网站 546 个；标记风险地址 1283 个。详见风控数据。
另外，如果你发现了疑似风险的代币或者 DApp，请及时反馈给我们：support@token.im，帮助更多用户避免资产损失。
最后
诈骗手段层出不穷，对于普通用户来说，确实难以全面预防。imToken 致力于快速发现和找到解决方案，并向社区及时反馈和科普各种新型骗局，以降低用户损失，全面提升用户在加密货币领域的安全性，努力构建一个可信赖的数字代币管理生态系统。
我们诚邀你阅读并分享「imToken 钱包安全月报」，和 imToken 携手，保护每一份代币安全。